Apache后缀名解析漏洞分析和防御方法

服务器 2024/11/14 佚名

2 0 1

大旗谷资源网 Design By www.zqyou.com

我们都知道windows2003 + IIS6.0下，如果目录结构中有xxx.asp这样的目录，那么所有这个目录下的文件不管扩展名为什么，都会当作asp来解析。我们一般称这个漏洞为windows2003+iis6.0目录解析漏洞。但是大家可能不知道的是，apache服务器也存在类似的解析漏洞。

我们来做下实验，我在本地搭建好了一个apache+php的测试平台：

两个文件phpinfo.php phpinfo.php.a ，我们来访问下phpinfo.php.a：

http://192.168.99.110/phpinfo.php.a

可以解析，换成其他后缀仍然可以。
　　
不管文件最后后缀为什么，只要是.php.*结尾，就会被Apache服务器解析成php文件，问题是apache如果在mime.types文件里面没有定义的扩展名在诸如x1.x2.x3的情况下，最后一个x3的没有定义，他会给解析成倒数第二个的x2的定义的扩展名。所以xxx.php.rar或者xxx.php.111这些默认没在mime.types文件定义的都会解析成php的。同样如果是cgi或者jsp也一样。。。

　　那么如果涉及到web程序的上传页面，如果上传的文件名是我们可以定义的，那么我们完全可以上传一个xxx.php.jpg这样名字的webshell，apache仍然会当作php来解析，我们再来测试下jpg。

防御方法：apache配置文件，禁止.php.这样的文件执行，配置文件里面加入。
复制代码代码如下:
<Files ~ "\.(php.php3.)">
Order Allow,Deny
Deny from all
</Files>

保存，从起apache以后，我们再来看看。

OK，防御方法就是这样。

Apache,后缀名,解析漏洞

标签：

Apache,后缀名,解析漏洞

大旗谷资源网 Design By www.zqyou.com

广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com

大旗谷资源网 Design By www.zqyou.com

评论“Apache后缀名解析漏洞分析和防御方法”

暂无Apache后缀名解析漏洞分析和防御方法的评论...

P70系列延期，华为新旗舰将在下月发布

3月20日消息，近期博主@数码闲聊站透露，原定三月份发布的华为新旗舰P70系列延期发布，预计4月份上市。

而博主@定焦数码爆料，华为的P70系列在定位上已经超过了Mate60，成为了重要的旗舰系列之一。它肩负着重返影像领域顶尖的使命。那么这次P70会带来哪些令人惊艳的创新呢？
根据目前爆料的消息来看，华为P70系列将推出三个版本，其中P70和P70 Pro采用了三角形的摄像头模组设计，而P70 Art则采用了与上一代P60 Art相似的不规则形状设计。这样的外观是否好看见仁见智，但辨识度绝对拉满。

更新日志

2024年11月14日

2024年11月14日